Printable View
Заметил что у меня постоянно умирал avp.exe и сразу же перезапускался системой. Это не краш, ничего, каспера переставил, все так же.
Потом переименовал обычную програмульку в avp.exe и запустил - упало.
Очевидно, что-то убивает все процессы с именем avp.exe
Что это?
Логи прилагаю. Каспера снес, все равно он ничего не ищет и даже запуститься не может. AVP tool и CureIt! ничего не нашли.
Непереименованный HijackThis крашится в момент сбора данных.
Пуск - Regedit
[CODE]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options[/CODE]
avp.exe присутствует?
Нет, не присутствует.
Выполните [URL="http://virusinfo.info/showthread.php?t=53070"]http://virusinfo.info/showthread.php?t=53070[/URL]
Пожалуйста.
Меня смущает adatadrv.sys, я его проверил:
[url]http://www.virustotal.com/file-scan/report.html?id=7cc53503c99f6dbb46c9601d84de70bbe11d3eb3f7f0734474892ec5893e61f2-1290710665[/url]
[URL="http://virusinfo.info/showthread.php?t=7239"]В AVZ -> файл-> Выполнить скрипт[/URL]
[CODE]
begin
SearchRootkit(true, true);
QuarantineFile('C:\Windows\system32\DRIVERS\adatadrv.sys','');
BC_Importquarantinelist;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Пришлите карантин согласно правил по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR].
AVZ у меня падает при выполнении такого скрипта. Версия последняя, базы обновлены. Пробывал его переименовывать.
Problem signature:
Problem Event Name: APPCRASH
Application Name: proverka.cmd
Application Version: 4.35.0.1
Application Timestamp: 2a425e19
Fault Module Name: advapi32.dll
Fault Module Version: 6.1.7600.16385
Fault Module Timestamp: 4a5bd97e
Exception Code: c0000096
Exception Offset: 00022a53
OS Version: 6.1.7600.2.0.0.256.1
Locale ID: 1033
Additional Information 1: c396
Additional Information 2: c396f6d0bf25ca718fa81ec7f959a449
Additional Information 3: c396
Additional Information 4: c396f6d0bf25ca718fa81ec7f959a449
Попробую в безопасном режиме
В безопасном режиме программа так же вылетает.
Останваливается в момент как на скриншоте и закрывается. Переименовывавть в kjsldkf.com пробовал - тот же эффект.
Попробуем так. В AVZ выполните скрипт:
[code]
begin
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\Windows\system32\DRIVERS\adatadrv.sys','');
BC_QrFile('C:\Windows\system32\DRIVERS\adatadrv.sys');
BC_ImportAll;
BC_Execute;
SetAVZGuardStatus(false);
end.
[/code]
Пришлите карантин согласно правил по ссылке Прислать запрошенный карантин.
Результат загрузки
Файл сохранён как 101126_163006_virus_4cefb65ed253e.zip
Размер файла 726585
MD5 d57646fc0eca7b0d539ed051d2851bf0
Файл не залился? Или у меня сложный случай?
Сделайте лог [url=http://virusinfo.info/showthread.php?t=58309] ComboFix[/url]
Вот.
Не знаю зачем он мне кое-что снес, я его не просил.... C:\Qoobox он не создал, ну да фиг с ним, скачаю еще раз.
Скажите хоть, какие есть идеи?
И тишина =(
Скопируйте текст ниже [B]в блокнот[/B] и сохраните как файл с названием [B]CFScript.txt[/B] на рабочий стол.
[url=http://www.bleepingcomputer.com/forums/topic114351.html]временно выключите антивирус, firewall и другое защитное программное обеспечение[/url]
[CODE]
KillAll::
File::
Driver::
Folder::
c:\windows\system32\1033
Registry::
FileLook::
c:\windows\system32\browserchoice.exe
DirLook::
c:\users\Dragon31337\.p4ob
c:\users\Dragon31337\.p4admin
c:\users\Dragon31337\.p4qt
RegLock::
[/CODE]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[IMG]http://virusnet.info/images/cfscript.gif[/IMG]
Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.
Это, сразу могу сказать - папки perforceб что-то типа SVN в нихе го конфигурация и ничего больше.
browserchoice.exe - чист, вот проверка моего файла на свежих АВ:
[url]http://www.virustotal.com/file-scan/report.html?id=4c5fb3c35ca7c2e10ae2920afd40e854c123219901c15a80941ac9f53eef97d7-1291227596[/url]
единственный файл в C:\Windows\System32\1033\ я тоже проверил - чисто
[url]http://www.virustotal.com/file-scan/report.html?id=5fe2c6a1f00afca567fae807aec4cfc398e4b21fcf022b4406f56cb14d2600c8-1291227835[/url]
Combofix меня как-то не впечатлил, хотя бы скажите что сделает этот скрипт?
Только скан?
Совсем глухо?
[QUOTE=snifer67;740310]
Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.[/QUOTE]
а это где?
[QUOTE=Dragon31337;740413]
Combofix меня как-то не впечатлил, хотя бы скажите что сделает этот скрипт?
Только скан?[/QUOTE]
А это где?
Этот комбофикс уже снес у меня ни в чем неповинный TrashReg, поэтому я хотел бы знать что он бует делать. Не люблю тулзы, кторые без вопросов трут что хотят.
Вообще я весь лог что должен быть от той программы расписал. Что там за папки и файлы.
вот лог
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]17[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\czeyilc.dll - [B]Trojan.Win32.Pakes.pns[/B] ( DrWEB: Trojan.Mayachok.based, BitDefender: Trojan.Generic.6203310, AVAST4: Win32:MalOb-HG [Cryp] )[/LIST][/LIST]